Пользоваться инструментами генеративного искусственного интеллекта (ИИ), чтобы резюмировать текст, подготовить черновик письма или собрать отчёт, во многих компаниях стало повседневной привычкой. А вопрос, который занимает руководителей, прост: что происходит, когда сотрудник вводит в эти инструменты сведения о клиенте или кандидате?
В Турции первым документом, к которому стоит обратиться с этим вопросом, служит Руководство по генеративному ИИ и защите персональных данных (в 15 вопросах), опубликованное в ноябре 2025 года ведомством Kişisel Verileri Koruma Kurumu (KVKK, Управление по защите персональных данных Турции). Цель руководства — дать контролёрам данных ориентиры в вопросах обработки персональных данных в системах генеративного ИИ. В этой статье мы кратко излагаем разделы руководства, касающиеся использования ИИ внутри компании, и на их основе выводим каркас политики. Статья передаёт то, что сказано в руководстве, и не заменяет юридическую консультацию.
Закон действует независимо от технологии
Отправная точка руководства однозначна: Закон № 6698 (турецкий закон о защите персональных данных) задаёт технологически нейтральные рамки и применяется во всех случаях, когда обрабатываются персональные данные. Системы генеративного ИИ тоже подпадают под действие Закона. В предусмотренных Законом условиях обработки нет прямой отсылки к ИИ; согласно руководству, это не означает, что с помощью таких инструментов нельзя обрабатывать данные, — это означает, что необходимо опираться на одно из существующих условий.
Примеры из руководства проясняют разницу. Дизайн-агентство, которое вводит в инструмент лишь общие темы, например плакат о скидках, и получает результат без персональных данных, как правило, не осуществляет обработку персональных данных. Напротив, инструмент, анализирующий материалы прошедших тренингов, содержащие имена участников, их изображения и аудиозаписи, рассматривается как подпадающий под действие Закона. Отдельно руководство подчёркивает ещё один момент: даже если входные данные не содержат персональных данных, результат работы модели может включать сведения о реальном человеке, и это тоже может считаться обработкой данных.
Анонимные же данные находятся вне сферы действия Закона. Однако, согласно руководству, то, что данные действительно анонимны, необходимо подтвердить техническими методами и объективными критериями; пока анонимизация не завершена, данные сохраняют статус персональных.
Кто является контролёром данных?
Пример руководства, связанный с наймом, служит для компаний прямым ориентиром. Подразделение по работе с персоналом использует языковую модель, которая составляет краткое изложение резюме и анкет кандидатов и выставляет им баллы. Поскольку именно компания решает, какие данные загружать и как оценивать результат, компания, встраивающая готовую модель в собственную работу, может рассматриваться как контролёр данных в отношении этой обработки.
Руководство делает ещё два предупреждения. Во-первых, роли определяются не формулировками договора, а фактическим контролем сторон. Во-вторых, при использовании моделей с «закрытым доступом» организация, применяющая инструмент, не всегда может получить доступ ко всей информации о процессах обработки; при определении ролей учитывается и такой доступ к информации.
Для каждой обработки — отдельное правовое основание
Согласно руководству, при работе языковой модели может иметь место несколько видов обработки: обработка пользовательского ввода для работы модели, использование тех же данных для совершенствования модели, использование результатов для персонализации или совершенствования. Для каждого из них может потребоваться определить отдельное условие обработки.
Другие важные моменты руководства:
- Между условиями обработки, предусмотренными Законом, нет иерархии. Если есть условие обработки, отличное от явного согласия, то дополнительное получение явного согласия, согласно руководству, может вводить в заблуждение и быть злоупотреблением правом.
- Явное согласие, полученное на использование ИИ, не охватывает совершенствование модели.
- Законный интерес — не универсальное условие, охватывающее любую обработку: он требует проведения теста на баланс интересов.
- Доступность в интернете не означает, что данные можно использовать в любых целях. По формулировке руководства: «данные, свободно доступные всем, не равнозначны данным, открытым для свободной обработки всеми».
- Для данных специальных категорий, таких как данные о здоровье и биометрические данные, не предусмотрены ни договорное условие, ни условие законного интереса; для таких данных необходимы дополнительные меры.
Провайдеры за рубежом
Провайдеры значительной части популярных инструментов находятся за рубежом. Согласно руководству, если контролёр данных в Турции использует систему генеративного ИИ провайдера, расположенного за рубежом, и в результате персональные данные передаются за границу, передача должна осуществляться в соответствии со статьёй 9 Закона и положением о передаче данных за рубеж, опубликованным в Resmî Gazete (Официальная газета Турции) 10 июля 2024 года. Руководство ссылается и на отдельное руководство Управления — «Kişisel Verilerin Yurt Dışına Aktarılması Rehberi» (Руководство по передаче персональных данных за рубеж).
Точность результатов и автоматизированные решения
Руководство напоминает, что результаты работы генеративного ИИ могут быть неверными, непоследовательными, предвзятыми или вводящими в заблуждение, и обращает внимание на риск «галлюцинаций». Оно рекомендует регулярно отслеживать результаты, содержащие персональные данные, и при необходимости подкреплять такой мониторинг контролем со стороны человека. Если модель, резюмирующая жалобы клиентов, неполно или ошибочно отражает персональные данные, это, согласно руководству, может быть нарушением принципа точности.
Когда ИИ участвует в процессах принятия решений в таких областях, как найм, кредитование и страхование, особое значение приобретает закреплённое в статье 11 Закона право возразить против результата, неблагоприятного для человека и полученного исключительно путём анализа автоматизированными системами. Руководство рекомендует проявлять осторожность при вводе таких систем в эксплуатацию, если риски невозможно в достаточной мере предвидеть или контролировать.
Меры безопасности и осведомлённость сотрудников
В рамках статьи 12 Закона руководство в качестве примеров перечисляет технические и административные меры. Для использования внутри компании выделяются следующие:
- проведение оценки воздействия на защиту данных (в качестве хорошей практики);
- технические средства контроля против известных уязвимостей, таких как промпт-инъекции и джейлбрейк;
- многофакторная аутентификация;
- безопасное и поддающееся аудиту хранение записей об операциях и системных журналов;
- процессы повышения осведомлённости и обучения сотрудников.
Раздел руководства, адресованный частным лицам, тоже можно напрямую превратить в инструкцию для сотрудников. Рекомендуется не сообщать идентифицирующие данные, такие как фамилия и имя, адрес, телефон и данные документа, удостоверяющего личность, а также информацию о третьих лицах; отдавать предпочтение анонимизированным и обобщённым формулировкам; пересматривать настройки конфиденциальности. Отдельно подчёркивается, что следует воздерживаться от передачи сведений, связанных со здоровьем, финансами и юридическими процессами.
Каркас внутренней политики компании
Приведённые ниже разделы — рамочная схема, построенная на выводах руководства; каждой организации необходимо адаптировать её с учётом собственного реестра данных и оценки юридического отдела.
- Сфера применения и утверждённые инструменты. Укажите, какие инструменты, с каким типом учётной записи и для каких задач разрешено использовать.
- Классы данных. Чётко разграничьте информацию, которую можно и нельзя вводить в инструменты; составьте однозначный перечень «не вводить» для данных специальных категорий, сведений о клиентах и кандидатах, идентификаторов.
- Фиксация цели и правового основания. Для каждого сценария использования, в котором обрабатываются персональные данные, отдельно задокументируйте цель и условие обработки, на которое вы опираетесь.
- Оценка передачи за рубеж. На этапе закупки изучите, где находится провайдер и на каком механизме основана передача данных.
- Контроль результатов. Для результатов, содержащих персональные данные или влекущих последствия для конкретного человека, сделайте одобрение со стороны человека обязательным.
- Автоматизированные решения. В таких областях, как найм, позиционируйте ИИ исключительно как инструмент поддержки принятия решений и определите порядок подачи возражений.
- Безопасность и ведение журналов. Увяжите с политикой многофакторную аутентификацию, права доступа и журналы использования.
- Обучение и пересмотр. Сделайте обучение сотрудников регулярным; обновляйте политику по мере изменения инструментов и рисков.
Заключение
Руководство KVKK — это документ, который не запрещает генеративный ИИ, а показывает, как принципы действующего закона применяются к таким инструментам. Для компаний главная задача — перевести эти принципы в небольшие решения, которые сотрудник принимает каждый день: что вводить в инструмент, как проверять результат и куда уходят данные.
С точки зрения Orient Global, практическая отправная точка — сначала выяснить, какие инструменты в компании используются на самом деле и какие виды данных в них вводятся. Политика, написанная без такой инвентаризации, может остаться лишь на бумаге; сама же инвентаризация даёт конкретную основу и для оценки юридического отдела, и для обучения сотрудников.
Эта статья кратко излагает содержание руководства KVKK в информационных целях и не заменяет юридическую консультацию. По конкретным ситуациям обращайтесь к своему юридическому консультанту.
#interimmanagement #forwarddeployedengineering